Google Analytics en de AVG: mag het nog?

In 2022 oordeelden de Oostenrijkse en Franse toezichthouders dat het gebruik van Google Analytics in strijd was met de AVG, vanwege de doorgifte van persoonsgegevens naar de VS. Sindsdien is er veel veranderd: Google lanceerde GA4, het EU-US Data Privacy Framework werd aangenomen, en Google introduceerde Consent Mode V2.

De situatie is minder dramatisch dan in 2022, maar GA4 is niet automatisch compliant. Je moet het correct instellen. Of je kiest voor een alternatief dat het probleem volledig omzeilt.

Het probleem met Google Analytics

Google Analytics plaatst cookies en verzamelt IP-adressen. Beide zijn persoonsgegevens onder de AVG. Dat betekent:

• Je hebt toestemming nodig via een cookiebanner voordat GA4 mag laden
• Je hebt een verwerkersovereenkomst nodig met Google
• Je moet de doorgifte naar de VS juridisch onderbouwen
• Je moet GA4 vermelden in je privacyverklaring

Het praktische gevolg: bezoekers die cookies weigeren (en dat doen er steeds meer) verschijnen niet in je analytics. Je data wordt onvolledig. Hoe beter je cookiebanner, hoe meer bezoekers weigeren en hoe minder je ziet.

GA4 compliant gebruiken

Als je bij GA4 wilt blijven, zijn dit de stappen:

1. Cookiebanner met Consent Mode V2. Google vereist sinds maart 2024 dat websites in de EER Consent Mode V2 implementeren. Dit communiceert de toestemmingskeuze van je bezoeker aan Google. Zonder Consent Mode werken remarketing en conversietracking niet meer volledig. Alle grote cookie consent tools ondersteunen het.

2. Verwerkersovereenkomst. Accepteer de Data Processing Amendment van Google. Bij Google Analytics 4 met een Google-account is dit beschikbaar in de instellingen. Controleer of je het daadwerkelijk hebt geaccepteerd. Meer over hoe verwerkersovereenkomsten werken lees je in het artikel over verwerkersovereenkomsten.

3. IP-anonimisering. In GA4 is IP-anonimisering standaard actief. IP-adressen worden niet opgeslagen. Dat is een verbetering ten opzichte van Universal Analytics.

4. Dataretentie beperken. Stel de retentieperiode in op het minimum (2 maanden voor gebruikersgegevens). Standaard staat dit op 14 maanden.

5. Geen Google Signals. Google Signals koppelt analytics aan Google-accounts voor cross-device tracking. Dat is extra verwerking die je moet uitleggen en waarvoor je toestemming nodig hebt. Schakel het uit tenzij je het nodig hebt en de juridische basis hebt.

Twijfel je of je analytics en andere website-onderdelen AVG-proof zijn? Doe de Privacy Scan en ontdek binnen 2 minuten waar je staat.

De alternatieven zonder cookies

Er is een categorie analytics-tools die het hele probleem omzeilt: ze gebruiken geen cookies, verzamelen geen persoonsgegevens en vereisen geen toestemming.

Plausible. Europees bedrijf (Estland), open source, EU-hosting. Geen cookies, geen persoonsgegevens. Lichtgewicht script (minder dan 1KB). Dashboard is eenvoudig en overzichtelijk. Vanaf 9 euro per maand. Geen toestemming nodig.

Simple Analytics. Nederlands bedrijf. Geen cookies, geen persoonsgegevens, geen IP-tracking. Data wordt in de EU opgeslagen. Vanaf 9 euro per maand. Specifiek gebouwd om AVG-proof te zijn zonder concessies.

Fathom. Canadees bedrijf met EU-hosting optie. Geen cookies, privacy-first. Vanaf 14 dollar per maand. Iets uitgebreidere rapportages dan Plausible en Simple Analytics.

Matomo. Self-hosted optie (gratis) of cloud (betaald). Configureerbaar zonder cookies. Als je het zelf host, verlaat data nooit je server. Meer features dan Plausible/Simple Analytics maar ook complexer om in te richten. Bij cookieloze configuratie geen toestemming nodig.

De afweging

GA4 biedt meer features dan de alternatieven: conversietracking, doelgroepanalyse, integratie met Google Ads, e-commerce tracking. Als je die features gebruikt en bereid bent de compliance-stappen te nemen (cookiebanner, Consent Mode V2, verwerkersovereenkomst), is GA4 bruikbaar.

Maar als je analytics vooral gebruikt om te zien hoeveel bezoekers je hebt, welke pagina's populair zijn en waar verkeer vandaan komt, dan bieden Plausible en Simple Analytics dezelfde inzichten zonder de compliance-last. Geen cookiebanner nodig, geen Consent Mode, geen verwerkersovereenkomst-discussie, en je ziet 100% van je bezoekers in plaats van alleen degenen die cookies accepteren.

Voor de meeste MKB-websites is de overstap naar een privacy-vriendelijk alternatief de eenvoudigste oplossing. Het kost 9 euro per maand, een kwartier migratie en het elimineert een complete categorie compliance-vragen.